[딜사이트 조은지 기자] 토스페이먼츠 결제정보 조회 사고를 계기로 국내 전자지급결제대행(PG)업계의 '보안 성적표'가 다시 시험대에 올랐다. 주요 PG사들이 사고 이후 자체 점검에 나선 가운데 결제시장이 빠르게 성장하는 동안 보안 투자와 전문인력도 그만큼 따라붙었는지에 시선이 쏠린다.

이번 사고는 PG사의 보안 역량을 투자액이나 인증 보유 여부만으로 평가하기 어렵다는 점도 드러냈다. 토스페이먼츠는 정보보호 투자 비중을 업계 평균 이상으로 높이고 보안 전담인력도 늘려왔지만 가맹점이 이용하는 외부 결제연동 과정에서 인증정보가 노출되는 사고를 막지 못했다. PG사가 자체 시스템을 넘어 가맹점과 외부 연동망까지 아우르는 결제 생태계를 얼마나 촘촘하게 관리하고 있는지가 새로운 시험대에 오른 셈이다.

◆몸집 커진 PG…보안투자는 따라갔나

17일 PG업계에 따르면 PG사의 사업 외형은 최근 수년간 가파르게 커졌다. 토스페이먼츠의 영업수익은 2024년 8197억원에서 지난해 9251억원으로 12.9% 증가했다. 같은 기간 영업손실은 227억원에서 13억원으로 줄었다.

NHN KCP도 별도 기준 매출이 2023년 9662억원에서 2024년 1조905억원, 지난해 1조1681억원으로 늘었다. 2년 동안 약 20.9% 증가한 규모다.

헥토파이낸셜은 전체 매출이 2023년 1531억원에서 지난해 1874억원으로 22.4% 증가했다. 이 가운데 PG 매출은 같은 기간 629억원에서 922억원으로 46.5% 늘었다. 전체 매출에서 PG가 차지하는 비중도 41.11%에서 49.18%로 높아졌다.

결제 규모가 커지는 만큼 보안이 감당해야 할 영역도 넓어지고 있다. PG사는 소비자의 결제정보를 처리하고 카드사와 가맹점을 연결한다. 거래량과 가맹점이 늘어나면 관리해야 할 정보와 시스템은 물론 외부 사업자와 연결되는 접점도 함께 증가한다. 사업 확대에 맞춰 보안 투자와 관리 역량도 키워야 하는 이유다.

한국인터넷진흥원(KISA) 정보보호 공시 종합포털에 따르면 올해 정보보호 현황을 공시한 기업은 826곳이다. 이들 기업의 전체 정보기술(IT) 투자액에서 정보보호 투자가 차지하는 비중은 6.15%로 집계됐다. 지난해 공시 기준 6.28%보다 0.13%포인트 낮아졌다.

PG사 역시 매년 KISA를 통해 IT 투자와 정보보호 투자, 관련 인력을 공개하고 있다. PG사의 보안 투자를 평가하려면 절대적인 투자액보다 전체 IT 투자 가운데 정보보호에 얼마를 배정했는지, 사업과 시스템이 커지는 속도만큼 보안 투자도 늘렸는지를 함께 볼 필요가 있다. IT 투자만 빠르게 늘고 정보보호 투자가 이를 따라가지 못한다면 사업 외형에 비해 보안 역량이 뒤처질 수 있어서다.

◆돈만큼 중요한 '사람'…전담인력은

보안에 얼마를 투자했는지만큼 이를 실제 운용할 전문인력을 얼마나 확보했는지도 주요 비교 대상이다. KISA 공시기업 전체의 올해 IT 인력 대비 정보보호 인력 비중은 6.80%로 지난해 6.67%보다 0.13%포인트 상승했다. 전체 IT 투자에서 보안투자가 차지하는 비중은 낮아진 반면 정보보호 인력 비중은 소폭 높아진 셈이다.

PG업계는 거래와 가맹점이 늘어날수록 보안조직의 업무도 복잡해질 수밖에 없다. 자체 결제 시스템뿐 아니라 가맹점과 외부 플랫폼의 연동 과정까지 점검해야 하기 때문이다. 예산을 늘리더라도 실제 시스템을 점검하고 취약점을 찾아내 사고에 대응할 전문인력이 뒷받침되지 않으면 보안투자의 실효성은 떨어질 수 있다.

따라서 업체별 보안 대응 역량을 비교하려면 전체 임직원 수보다 IT 인력 가운데 정보보호를 전담하는 인력이 얼마나 되는지를 봐야 한다. 특히 최근 3년간 결제사업이 성장하는 동안 보안 전담인력이 같은 속도로 확충됐는지가 관건이다.

토스페이먼츠는 지난해 공개한 자료에서 2024년 기준 전체 IT 투자 대비 정보보호 투자 비중을 10.2%로 제시했다. 당시 KISA 전체 공시기업의 평균 정보보호 투자 비중인 6.05%를 웃도는 수준이다. 출범 당시 2명이던 보안 전담인력도 당시 12명까지 늘었다고 밝혔다. 회사가 공개한 수치 기준으로는 보안 인력을 6배 확대한 것이다.

◆평균 이상 투자에도 사고…보안투자 '실효성' 시험대

문제는 이 같은 투자 확대에도 결제정보 조회 사고를 막지 못했다는 점이다. 토스페이먼츠의 정보보호 투자 비중은 전체 공시기업 평균을 웃돌았고 보안 전담인력도 출범 이후 크게 늘었다. 투자 규모와 인력 확대만 놓고 보면 보안 역량을 꾸준히 강화해온 셈이지만 이번 사고로 실제 관리 범위와 투자 실효성까지 따져봐야 할 필요성이 커졌다.

특히 이번 사고가 발생한 지점은 PG사와 가맹점·외부 플랫폼이 맞닿는 '연결고리'였다. 특정 가맹점이 이용하던 외부 결제연동 과정에서 인증정보가 노출되면서 제3자가 결제내역을 조회한 것으로 파악됐다. PG사의 보안 책임과 관리 역량을 자체 시스템 방어에만 한정해서 보기 어려워진 이유다.

PG사가 결제 생태계의 중심에서 수많은 가맹점과 외부 사업자를 연결하는 만큼 취약한 접점에서 발생하는 위험까지 얼마나 파악하고 통제할 수 있는지가 보안 경쟁력을 가를 수 있다. 자체 시스템이 뚫리지 않았더라도 연결된 가맹점이나 외부 플랫폼의 취약점을 통해 결제정보가 노출된다면 소비자 입장에서 결과는 크게 다르지 않다.

이에 따라 이번 사고는 PG업계가 외형 성장에 걸맞은 보안 역량을 갖췄는지를 다시 들여다보는 계기가 될 전망이다. 전체 IT 투자 대비 정보보호 투자 비중과 IT 인력 대비 보안 전담인력 비중이 최근 3년간 어떻게 움직였는지뿐 아니라, 늘어난 투자와 인력이 실제 가맹점·외부 연동망의 취약점을 관리하는 데 얼마나 투입되고 있는지도 따져볼 필요가 있다.

이번 사고 이후 PG업계도 자체 시스템과 보안체계 점검에 나섰다. PG업계 한 관계자는 "사건 사고 발생과 관련해 당사에서도 자체 점검을 실시 중"이라고 말했다.